Per modifica sostanziale si intende una modifica a un prodotto sufficientemente significativa da alterare il modo in cui il prodotto viene valutato, supportato o regolamentato. Nel lavoro di sicurezza informatica e conformità, la questione chiave non è solo se il codice sia cambiato, ma se la modifica influisca sulle proprietà di sicurezza, sull'uso previsto, sulla distribuzione o sulla responsabilità del prodotto.
Ciò è importante perché una biforcazione importante, una riscrittura del firmware, la sostituzione di un componente incorporato o un'implementazione fortemente personalizzata possono spostare un prodotto in una categoria di conformità diversa. I team di sicurezza utilizzano registri delle modifiche, record di rilascio e tracciamento della titolarità per stabilire se una modifica sia manutenzione ordinaria o una trasformazione sostanziale. Gli attaccanti possono sfruttare modifiche tracciate in modo inadeguato per nascondere cambiamenti non autorizzati, mentre i difensori si affidano a una classificazione chiara per attivare revisioni, nuovi test e obblighi di segnalazione quando il profilo di rischio di un prodotto cambia.